(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210922446.4 (22)申请日 2022.08.02 (71)申请人 浙江浙科信息技 术有限公司 地址 310012 浙江省杭州市西湖区文三路 259号昌地火炬 大厦2号楼6 01室 (72)发明人 周宇东　吴雨　金颖　杨康平　 朱苏　李斯　潘光富　李泽坤　 (74)专利代理 机构 杭州求是专利事务所有限公 司 33200 专利代理师 刘静 (51)Int.Cl. H04L 9/40(2022.01) H04L 67/02(2022.01) H04L 67/141(2022.01) H04W 12/03(2021.01)H04W 12/06(2021.01) H04W 12/084(2021.01) H04W 76/10(2018.01) (54)发明名称 一种终端应用间数据安全交 互方法及系统 (57)摘要 本发明公开了一种终端应用间数据安全交 互方法及系统， 本发明基于http协议方式进行服 务端与终端应用间双向身份认证， 认证过程采用 了终端应用注册id合法验证与非对称加密， 随机 数， 摘要签名的验证方式， 保证了终端应用与服 务端身份合法性， 并为终端应用发放合法令牌。 建立基于nio  sokect的通 讯通道， 轻量消息 走此 通道， 减轻服务端压力， 作为终端应用数据交互 的辅助， 并通过数字信封方式向建立通道的终端 应用发放数据交互的密钥作为数据的加密解密 密钥。 基于http协议方式进行数据传输， 终端应 用间通过数据序列号和信息密钥作为终端应用 间数据交互的依据。 本发明解决了各类终端应用 在不同网段无法点对点网络连接的情况下难以 进行安全的数据交 互的问题。 权利要求书2页 说明书7页 附图4页 CN 115296890 A 2022.11.04 CN 115296890 A 1.一种终端应用间数据安全交 互方法， 其特 征在于， 包括以下步骤： 步骤一： 终端应用和服 务端进行基于 http协议的双向身份认证， 包括以下子步骤： 1.1终端应用向服务端发送连接请求， 终端应用将其身份标识id1加上随机码r1用服务 端公钥加密后的值E1 发送给服 务端； 1.2服务端收到请求后用服务端私钥解密 得到D1＝id1+r 1， 将身份标识id1与服务端发 布的合法终端应用列表进行对比， 验证终端应用id1身份合法性； 1.3服务端验证终端应用id1身份合法后， 将终端应用传输的随机码r1加上服务端产生 的随机码sr1用终端应用id1的公钥加密后的值E2返回给终端应用id1； 1.4终端应用id1在接收到服务端返回的加密数据后用自己的私钥解密得到终端应用 id1对应的随机码r 2和服务端返回的随机码sr1； 1.5终端应用id1将解密得到 的随机码r2与步骤1.1发送的随机码r1进行对比， 验证服 务端身份合法性； 1.6终端应用验证服务端身份合法后， 将终端应用的身份标识id1与服务端返回的随机 码sr1用服务端公钥加密得到E3； 将身份标识id1和随机码sr1进行摘要S HA后用终端应用私 钥签名得到数据E4； 将E 3+E4组成的数据E 5发送给服 务端； 1.7服务端接收到加密数据E3后用服务端私钥解密获得终端应用对应的身份标识id2 和服务端对应的随机码sr2， 同时对解密后的身份标识id2和随机码sr2进 行摘要SHA后得到 数值M1； 服 务端再利用终端应用公钥对数据E4进行验签解密后得到数值M2； 1.8通过判断M1和M2是否相等来验证步骤1.4服务端返回的随机码sr1与步骤1.7解密 得到的随机码sr 2是否一致， 如果M1与M2相等， 则确认终端应用id1身份合法； 1.9双方身份确认合法后建立起终端应用与服务端的连接， 并返回给终端应用一个临 时的合法令牌； 步骤二， 服务端为每个终端应用开通一个非阻塞式长连接的通讯通道， 用于短消息的 通知传递， 包括以下子步骤： 2.1终端应用获得临时的合法令牌后， 将其身份标识id1和令牌t1进行摘要SHA后用终 端应用私钥签名得到数据E6， 终端应用将身份标识id1、 令牌t1以及E6一并发送给服务端， 验证身份标识id1是否合法以及令牌t1是否有效， 如果验证失败则重复身份认证流 程； 2.2服务端 收到id1+t1+E6信息， 对身份标识id1和令牌t1进行摘要SHA后得到数值M3； 再利用终端应用公钥对E6进行验签解密后得到数值M4； 服务端判断M3与M4是否相等， 如果 相等则验证终端应用id1合法； 2.3服务端将已经和服务端建立长连接的终端应用维护到合法的在线终端应用列表， 并进行心跳检测， 管理终端应用的连接； 2.4终端应用间通道建立， 当终端应用A要与终端应用B通讯时， 首先终端应用A向服务 端发送与终端应用B通讯的请求， 服务端确认终端应用A,B的合法性后， 将分别用终端应用 A,B的公钥加密AES密钥K的结果分别发送给A,B， 同时为终端应用A,B建立起合法的连接通 道， 将连接成功信息发送给终端应用A,B； 2.5终端应用A获取与终端应用B连接成功的消息， 同时用终端应用A的私钥解密服务端 的信息获得通讯密钥 K， 终端应用A将短消 息SM用通讯密钥 K加密后的数据C1发送给终端应 用B； 终端应用B同样通过自己的私钥解密服务端的信息获得通讯密钥 K， 终端应用B将获得权　利　要　求　书 1/2 页 2 CN 115296890 A 2的消息利用通讯密钥K解密获得终端应用A发送的明文即 短消息SM； 步骤三， 基于 http协议的方式进行终端应用间数据传输， 包括以下子步骤： 3.1终端应用A请求向终端应用B发送数据， 首先终端应用A通过长连接通讯通道向终端 应用B发送传输数据请求； 3.2终端应用B收到终端应用A的传输数据请求后， 将是否准备接收数据的响应通过长 连接通讯通道返回给终端应用A； 3.3终端应用A收到终端应用B的响应， 如果响应是拒绝则中断当前流程， 如果是同意接 收数据， 则终端应用A将 需要传输的业务数据LM用建立长连接通讯通道 时服务端分发的通 讯密钥K加密得到数据C2， 并将C2传输到服务端， 同时通过长连接通讯通道向终端应用B发 送一条代 表数据发送成功的短消息， 短消息中具有根据C2生成的唯一标识数据 序列号； 3.4终端应用B收到需要接收数据的序列号后， 通过序列号以http协议的方式从服务端 获取终端应用A发送的业务数据， 终端应用B用建立长连接通讯通道时服务端分发的通讯密 钥K解密获得终端应用A发送的明文即业务数据LM； 终端应用B获取业务数据成功后， 通过长 连接通讯通道发送获取 数据成功的消息给终端应用A； 3.5终端应用A收到终端应用B接收数据成功的消息， 完成一轮数据传输 。 2.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 步骤1.2、 步 骤1.5、 步骤1.8中的三个条件都 需验证通过， 其中一个条件不满足则终止流程； 如果都满足 则终端应用与服 务端的双向身份认证通过。 3.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 所述步骤 1.9中， 双方身份确认合法后建立起 终端应用与服务端的连接， 并返回给终端应用一个临 时 的合法令牌， 令牌的有效时间由服务端控制， 之后终端应用与服务端的每次交互都需要带 上合法令牌； 令牌失效后重复步骤1.1 ‑步骤1.8的双向身份认证过程。 4.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 步骤2.1中 的两个条件与步骤2.2中的一个条件中， 如果有一项不满足则拒绝建立 通道， 断开连接 。 5.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 所述步骤 2.3中， 终端应用间通讯的数据结构包括： 令牌token， 发起方身份标识from， 接收方身份标 识to， 业务类型type， 序列号serial no， 通讯的信息内容co ntent。 6.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 所述步骤二 中， 服务端心跳检查终端应用的连接状态， 当终端应用异常或其他原因断开连接， 需要再次 发送消息时， 重复步骤2.1 ‑步骤2.5。 7.根据权利要求1所述的一种终端应用间数据安全交互方法， 其特征在于， 所述步骤 3.5中， 如果终端应用A在数据发送完成后一段时间内仍未收到终端应用B接收数据成功的 消息， 重复步骤3.1 ‑步骤3.4的过程 n次， 如果 n次后仍未成功， 提 示失败信息 。 8.一种实现如权利要求1 ‑7中任一项所述方法的终端应用间数据安全交互系统， 其特 征在于， 该系统包括以下模块： 双向身份认证模块， 用于终端应用和服 务端进行基于 http协议方的双向身份认证； 安全通道建立模块， 用于服务端为每个终端应用开通一个非阻塞式长连接的通讯通道 进行短消息的通知 传递； 数据交互模块， 用于基于 http协议进行终端应用间数据传输 。权　利　要　求　书 2/2 页 3 CN 115296890 A 3